EU AI Act
Was ist der EU AI Act?
Der EU AI Act ist die Verordnung der Europäischen Union für künstliche Intelligenz. Er ordnet KI-Systeme nach ihrem Risiko und legt abhängig von Einsatz, Anbieterrolle und Wirkung unterschiedliche Verbote, Dokumentationspflichten und Transparenzregeln fest. Die Vorgaben gelten schrittweise seit 2025 und erfassen auch Unternehmen außerhalb der EU.
Der EU AI Act schafft innerhalb der Europäischen Union einen einheitlichen Rechtsrahmen für künstliche Intelligenz. Die deutsche Bezeichnung lautet einmalig KI-Verordnung. Maßgeblich ist die Verordnung (EU) 2024/1689, die am 1. August 2024 in Kraft trat und seitdem nach einem festen Zeitplan anwendbar wird.
Der EU AI Act reguliert KI nicht pauschal. Die Pflichten richten sich danach, welches Risiko ein System für Gesundheit, Sicherheit und Grundrechte erzeugt. Ein Textassistent für Produktbeschreibungen wird daher anders behandelt als eine KI, die Bewerber bewertet oder über den Zugang zu einer wesentlichen Dienstleistung mitentscheidet.
EU AI Act: Die Risikoklassen
Die verbreitete Einteilung in vier Risikostufen erleichtert die erste Orientierung. Für eine rechtliche Bewertung reicht die Risikostufe allein jedoch nicht aus. Unternehmen müssen zusätzlich klären, welche Rolle sie übernehmen, wofür das System eingesetzt wird und ob besondere Regeln für Modelle mit allgemeinem Verwendungszweck gelten.
| Kategorie | Typische Beispiele | Rechtsfolge |
|---|---|---|
| Unannehmbares Risiko | Bestimmte manipulative Verfahren, Social Scoring oder einzelne Formen biometrischer Kategorisierung | Die betreffende KI-Praxis ist grundsätzlich verboten. |
| Hohes Risiko | KI in Beschäftigung, Bildung, kritischer Infrastruktur oder bei wesentlichen privaten und öffentlichen Leistungen | Umfangreiche Vorgaben zu Risikomanagement, Daten, Dokumentation, Protokollierung und menschlicher Aufsicht |
| Transparenzrisiko | Chatbots, Deepfakes und bestimmte synthetisch erzeugte Inhalte | Nutzer müssen abhängig vom Einsatz über die KI-Nutzung oder künstliche Erzeugung informiert werden. |
| Minimales Risiko | Viele Schreibassistenten, Empfehlungssysteme und interne Analysewerkzeuge | In der Regel keine zusätzlichen Pflichten aus der jeweiligen Risikokategorie, andere Gesetze gelten weiterhin. |
Ein häufiger Denkfehler besteht darin, jede generative KI automatisch als Hochrisiko-KI einzustufen. Ein System wird nicht wegen seiner technischen Leistungsfähigkeit zum Hochrisiko-System, sondern wegen seines vorgesehenen Einsatzzwecks. Dieselbe Basistechnologie kann beim Formulieren einer Überschrift ein geringes Risiko haben und bei der automatisierten Auswahl von Bewerbern unter die Hochrisiko-Regeln fallen. Dokumentiere deshalb den konkreten Zweck jedes eingesetzten Systems.
Für wen gilt die Verordnung?
Der EU AI Act unterscheidet vor allem zwischen Anbietern und Betreibern. Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke auf den Markt. Ein Betreiber verwendet ein KI-System im Rahmen seiner beruflichen Tätigkeit, etwa für Kundenservice, Content-Erstellung oder Kampagnenanalyse.
Ein Unternehmen, das einen externen KI-Dienst unverändert für interne Aufgaben nutzt, ist regelmäßig Betreiber. Ein Betreiber kann jedoch zum Anbieter werden, wenn er ein System unter eigener Marke anbietet, wesentlich verändert oder seinen vorgesehenen Zweck so ändert, dass daraus ein Hochrisiko-Einsatz entsteht. Prüfe diese Rollenfrage vor der Risikoklasse, weil Anbieter deutlich mehr technische Nachweise erbringen müssen.
Die Verordnung hat außerdem eine Wirkung über die EU hinaus. Sie kann Anbieter und Betreiber aus Drittländern erfassen, wenn ein KI-System in der EU angeboten wird oder sein erzeugtes Ergebnis innerhalb der EU verwendet wird. Der Sitz des Technologieanbieters allein beantwortet deshalb nicht, ob der EU AI Act gilt.
EU AI Act 2026: Geltende Fristen
Der EU AI Act wird stufenweise anwendbar. Für Unternehmen ist nicht nur der allgemeine Geltungsbeginn relevant, da einzelne Verbote und Pflichten bereits früher greifen und bestimmte Hochrisiko-Systeme eine längere Übergangsfrist besitzen.
Die Pflicht zur KI-Kompetenz verlangt keine bestimmte Berufsbezeichnung oder ein einheitliches Zertifikat. Unternehmen müssen abhängig von Vorwissen, Einsatzkontext und betroffenen Personen dafür sorgen, dass Mitarbeiter KI-Systeme sachkundig bedienen und Risiken beurteilen können. Geeignete Nachweise sind dokumentierte Schulungen, interne Richtlinien, Rollenbeschreibungen und regelmäßige Aktualisierungen.
Pflichten für Marketing und Content
Für SEO, SEA und GEO betrifft der EU AI Act vor allem Content-Prozesse, Chatbots, personalisierte Systeme und den Umgang mit generativen Modellen. GEO bedeutet Generative Engine Optimization und bezeichnet die Optimierung von Inhalten für Antworten in Systemen wie ChatGPT, Perplexity und Gemini.
KI-generierte Texte müssen nach dem EU AI Act nicht automatisch auf jeder Website als KI-Inhalt gekennzeichnet werden. Eine besondere Transparenzpflicht betrifft unter anderem künstlich erzeugte oder manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Eine Ausnahme kann greifen, wenn eine menschliche Prüfung oder redaktionelle Kontrolle erfolgt und eine Person oder Organisation redaktionell verantwortlich ist.
Für normale Produktbeschreibungen, Kategorieseiten oder kommerzielle Ratgeber ergibt sich daraus keine pauschale Kennzeichnungspflicht für jeden KI-Anteil. Die konkrete Veröffentlichung muss trotzdem auf ihren Zweck, ihre redaktionelle Verantwortung und mögliche Spezialregeln geprüft werden. Ein belastbarer Prozess verbindet deshalb KI-Entwürfe mit Faktenkontrolle, Freigabe und dokumentierter Verantwortung. Der OSG-Leitfaden zu KI-Texten im Unternehmen zeigt, wie sich diese Prüfung in einen Content-Workflow einordnen lässt.
Transparenz bei Chatbots und Deepfakes
Bei einem Chatbot müssen Nutzer grundsätzlich erkennen können, dass sie mit einem KI-System interagieren, sofern dies aus den Umständen nicht bereits offensichtlich ist. Die Information sollte spätestens bei der ersten Interaktion klar erscheinen. Ein Bot darf deshalb nicht den Eindruck erwecken, ein menschlicher Servicemitarbeiter zu sein, wenn tatsächlich eine automatisierte Kommunikation stattfindet.
Deepfakes und bestimmte synthetische Audio-, Bild- oder Videoinhalte benötigen ebenfalls eine Offenlegung. Die Kennzeichnung muss maschinenlesbar sein und erkennen lassen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Für künstlerische, satirische oder vergleichbare Werke gelten angepasste Anforderungen, damit die Offenlegung die Darstellung nicht unangemessen beeinträchtigt.
Auswirkungen auf SEO, SEA und GEO
Der EU AI Act legt keine Google-Rankings fest und entscheidet nicht, ob KI-Content organisch sichtbar wird. Suchmaschinenrichtlinien bewerten vor allem Qualität, Nutzen und Manipulationsabsicht. Der Rechtsrahmen beantwortet dagegen, unter welchen Bedingungen ein KI-System entwickelt, angeboten und eingesetzt werden darf. Rechtliche Zulässigkeit und SEO-Qualität sind daher zwei getrennte Prüfungen.
Für SEO und redaktionelle Content-Erstellung braucht ein belastbarer Ablauf mindestens eine dokumentierte Quelle, eine fachliche Prüfung und eine namentlich oder organisatorisch definierte Freigabe. Besonders bei Gesundheit, Finanzen und Recht können falsche Aussagen erhebliche Folgen haben. Der Veröffentlichungsprozess sollte deshalb festlegen, welche Themen eine Prüfung durch einen Fachverantwortlichen benötigen.
Im SEA können KI-Systeme Anzeigentexte, Zielgruppenmodelle, Gebote und Creatives beeinflussen. Ein übliches Anzeigenwerkzeug wird dadurch nicht automatisch zum Hochrisiko-System. Kritischer wird die Bewertung, wenn automatisierte Entscheidungen den Zugang zu Beschäftigung, Krediten, Versicherungen oder wesentlichen Leistungen beeinflussen. Halte bei KI-gestützten Kampagnen fest, welche Daten und Freigabeschritte eingesetzt werden.
Für GEO und KI-Sichtbarkeit entsteht ein zusätzlicher Qualitätsfaktor: Inhalte müssen fachlich eindeutig, aktuell und einer verantwortlichen Quelle zuordenbar sein. Klare Autorenangaben, nachvollziehbare Aktualisierungen und überprüfbare Aussagen erleichtern sowohl die redaktionelle Kontrolle als auch die Verarbeitung durch generative Suchsysteme.
So prüfst du deinen KI-Einsatz
Eine Bestandsaufnahme beginnt nicht bei einzelnen Prompts, sondern bei den eingesetzten Systemen und ihren Zwecken. Erfasse auch frei zugängliche Werkzeuge, Browser-Erweiterungen, Chatbots und KI-Funktionen bestehender Plattformen. Gerade dezentrale Nutzung bleibt sonst außerhalb der offiziellen Tool-Liste.
Messbar ist die Umsetzung zum Beispiel über den Anteil inventarisierter KI-Systeme, dokumentierter Verantwortlichkeiten und geschulter Nutzer. Eine Quote von 100 Prozent bedeutet nicht automatisch rechtliche Konformität, zeigt aber, ob der interne Kontrollprozess alle bekannten Anwendungen erfasst. Offene Fälle sollten ein Fälligkeitsdatum und einen Verantwortlichen erhalten.
Sanktionen bei Verstößen
Die möglichen Geldbußen richten sich nach Art und Schwere des Verstoßes. Bei verbotenen KI-Praktiken können bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres relevant werden. Für andere Verstöße sieht die Verordnung niedrigere Höchstgrenzen vor, etwa bis zu 15 Millionen Euro oder 3 Prozent.
Bei Unternehmen kann der umsatzbezogene Höchstbetrag maßgeblich sein. Für kleine und mittlere Unternehmen gelten besondere Begrenzungen. Die tatsächliche Sanktion hängt unter anderem von Schwere, Dauer, Folgen, Zusammenarbeit mit Behörden und früheren Verstößen ab. Eine hohe theoretische Obergrenze sagt daher nicht voraus, welche Geldbuße in einem Einzelfall verhängt wird.
Häufige Fragen zum EU AI Act
Muss jedes Unternehmen den EU AI Act beachten?
Der EU AI Act betrifft Unternehmen, sobald sie KI-Systeme in einem erfassten beruflichen Kontext anbieten oder betreiben. Der konkrete Umfang hängt von Rolle, Einsatzzweck und Risikokategorie ab. Auch ein kleines Unternehmen kann Pflichten zur KI-Kompetenz oder Transparenz haben.
Müssen KI-generierte SEO-Texte gekennzeichnet werden?
Eine allgemeine Kennzeichnungspflicht für jeden KI-generierten SEO-Text enthält der EU AI Act nicht. Besondere Regeln können für Texte zu Angelegenheiten von öffentlichem Interesse gelten. Redaktionelle Prüfung, Verantwortlichkeit und der konkrete Veröffentlichungszweck müssen einzeln bewertet werden.
Ist ChatGPT ein Hochrisiko-System?
ChatGPT ist nicht bei jeder Nutzung automatisch ein Hochrisiko-System. Die Bewertung hängt vor allem davon ab, wofür ein Unternehmen das Modell einsetzt. Textideen und Zusammenfassungen sind anders einzuordnen als automatisierte Entscheidungen über Bewerber oder wesentliche Leistungen.
Was bedeutet KI-Kompetenz für Mitarbeiter?
KI-Kompetenz bedeutet, dass beteiligte Personen die Funktionen, Grenzen und Risiken der verwendeten Systeme angemessen verstehen. Umfang und Tiefe richten sich nach Vorwissen, Rolle und Anwendung. Unternehmen sollten Schulungen, Richtlinien und Zuständigkeiten dokumentieren.
Gilt der EU AI Act auch für kleine Unternehmen?
Ja, der EU AI Act kann auch für kleine Unternehmen gelten. Die Unternehmensgröße hebt grundlegende Verbote, Transparenzpflichten oder Anforderungen an die KI-Kompetenz nicht auf. Bei Sanktionen und einzelnen Entlastungen berücksichtigt die Verordnung jedoch die Situation kleiner und mittlerer Unternehmen.
Was ist der Unterschied zwischen EU AI Act und DSGVO?
Der EU AI Act reguliert die Entwicklung und Nutzung künstlicher Intelligenz anhand ihrer Risiken. Die DSGVO regelt die Verarbeitung personenbezogener Daten. Ein KI-System kann deshalb gleichzeitig unter beide Regelwerke fallen, wobei jede Rechtsgrundlage getrennt geprüft werden muss.
Wenn du KI in Content, Kampagnen oder GEO-Prozessen einsetzt, sollte die Bestandsaufnahme Technik, Verantwortlichkeiten und Veröffentlichungsabläufe gemeinsam erfassen. Ein unverbindlicher Potenzialcheck kann zeigen, an welchen Stellen dein Online-Marketing bereits mit KI arbeitet und wo klare Prozesse fehlen.
Kostenlosen Potenzialcheck anfragen
Sie haben noch Fragen?
